د VPN د ننوتلو خبرتیاوې د نفوذ خبرتیاوې نه دي: ناسته وګورئ
غیرعادي ننوتل د بیاکتنې لامل دی، نه پرېکړه۔ د نفوذ په نوم یې یادولو دمخه د تصدیق ریکارډ له یوې ناستې سره، بیا له هغه څه سره وتړئ چې ناستې لاس ورته وررسېدلی و۔
د نوي هېواد لپاره چې د VPN خبرتیا راپاڅي، پرېکړه کوونکې ښکاري او معمولاً نه ده۔ تصدیق وايي چې یوه هڅه ومنل شوه؛ ناسته وايي کومه اړیکه یې وړه؛ د سرچینو ریکارډونه وايي چې د هغې اړیکې په داخل کې څه وشول۔ هر یو بل پوښتنې ته ځواب وایي۔ هغه قاعده چې درې واړه یوځای کوي، دوشنبې ورځې دیرش ټکټونه جوړوي او جمعې ورځې ریښتینی پېښه له لاسه ورکوي۔
بهرنی پته پوښتنه ده، ځواب نه
سفر، هغه ګرځنده اپراتوران چې په بل هېواد کې وتل کوي، شرکتي ویب پراکسي او بیا وېشل شوی carrier-grade NAT حوض ټول ظاهري سرچینه خوځوي پرته له دې چې بریدګر وخوځوي۔ د ننوتلو ریکارډ ښيي چې اړیکه شبکې ته له کومه ځایه ننوتله، نه دا چې څوک وسیله په لاس کې درلوده۔
مخالف ناکامي بدتره ده ځکه چې غلې ده۔ د کاروونکي په خپل ښار کې کارول شوې غلا شوې پټنوم داسې ننوتل جوړوي چې د جغرافیې په کتنه کې له هر پخواني ننوتل سره سمون خوري۔
جغرافیه د پرېکړې په توګه ګڼل د اندازه کېدونکې بیه لري۔ سفر کوونکي لپ ټاپونه د بیاکتنو دوامداره بهیر جوړوي، بیاکتونکي زده کوي چې پرته له لوستلو یې وتړي، او دا عادت تر هغه پاتې کېږي چې ریښتینې پېښه همدغه قطار ته ورسیږي۔
درې ډوله ریکارډونه درې بېلو پوښتنو ته ځواب وایي
له هغه څه پیل وکړئ چې ځای پرځای شوي محصولات یې په رښتیا خپروي، نه له هغه چې د محصول پاڼه وړاندیز کوي۔ د تصدیق پرېکړه ادعا شوې پېژندنه، طریقه او پایله نوموي۔ د ناستې ژوند دوره اړیکه، دروازه او ټاکل شوی پته له پیل څخه تر بندېدو پورې نوموي۔
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
تش حجره د راټولولو خالي ځای دی، نه برائت۔ که د سرچینو پېښې هیڅکله ونه رسیږي، د شکمن لوستلو نه شتون مانا دا ده چې پایپ لاین هغه څه نلري چې راپور یې کړي، او غلې ډشبورډ شبکه نه، بلکې پایپ لاین بیانوي۔ مخکې له دې چې د هغوی پر بنسټ قاعده ژمنه کړئ، ولیکئ چې ځای پرځای کول په رښتیا کوم ریکارډونه جوړوي، او د هر ورک بهیر مالک ونوموئ۔
د حساب تفصیلات هغه ځای دی چې ناستې د کتنې وړ ګرځي۔ په RFC 2866 کې بیان شوی RADIUS حساب د ناستې پېژندنې سره تړلي پیل، بندېدل او منځني تازه کول لېږدوي، نو هغه ناسته چې پیل لري او بندېدل نلري، معما نه ده، بلکې داسې خالي ځای دی چې تاسو یې نومولی شئ۔
د کاروونکي نوم نه، په ناسته وتړئ
یو حساب په قانوني توګه په یو وخت کې څو ناستې ساتي: لپ ټاپ، ټیلیفون، د شپې لپاره وصل پرېښودل شوې لابراتوار ماشین۔ د هغه کاروونکي نوم هرې پېښې ته نښلول درې وسایل په یوه کیسه کې ګډوي او بیا یې ترکیب د ماتې په توګه لولي۔ ټاکل شوې پتې هم بیا کارول کېږي، نو هغه نښلون چې د ناستې له پای وروسته هم له پتې سره سمون خوري، د تېرې میاشتې وسیله نننۍ پېښې ته راکاږي۔ د پتې ترڅنګ د ناستې کلید وساتئ او سمون یې هغه مهالي کړکۍ ته محدود کړئ چې ناستې په رښتیا پوښلې وه۔
چېرې چې ژباړه اصلي سرچینه له منځه وړي مخکې له دې چې خدمت یې وویني، هغه پېژندنه وکاروئ چې په دغه پوله پاتې کېږي، لکه د متقابل TLS موضوع یا د یو ځلي ننوتلو ادعا۔ د پتې او شخص ترمنځ یو پر یو نقشه جوړول هغه ورته تېروتنه ده چې اضافي ګامونه لري۔
بې مالکه خبرتیا ډشبورډ ده
هره قاعده شرط، هغه بې زیانه څرګندونې چې جوړوي یې، راټولېدونکي شواهد او عمل کوونکی شخص ته اړتیا لري۔ تکراري رد شوې اداري عملیه، د ناکامو پټنومونو چاودنه او غل راټولوونکی درې بېلې پېښې دي چې درې بېلې ساعتونه لري۔
خبرتیا مهار نه ده، او د وېش لیست هیچ ته محدودیت نه لګوي۔ د ژوندي ناستې بدلولو لپاره هغه برخه ته اړتیا ده چې دا کار کولی شي، که هغه دروازه وي چې اړیکه غورځوي یا هغه پېژندنې چمتوکوونکی وي چې ناسته لغوه کوي۔ زاړه بهیرونه او ورک شوي بندېدنې ریکارډونه هم د قاعدې متن ته اړوند دي، ځکه هغه راټولوونکی چې یوه ورځ هیڅ نه دی لېږلی، له ډشبورډ څخه په بشپړه توګه غلې شبکې ته ورته ښکاري۔ توپیر یوازې په خپل پایپ لاین کې ښکاري۔
په غله اونۍ د باور کولو دمخه د راټولولو لاره وګورئ
مخکې له دې چې یوه قاعده تنظیم کړئ، پایپ لاین له سره تر پایه ثابت کړئ۔ لاندې حکمونه تاییدوي چې د تصدیق او حساب اورېدونکي فعال دي، چې ازموینه اسناد د سم لامل له مخې رد کېږي، او چې د ناستې پېښې لا هم رسیږي:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
له ازموینې راغلی Access-Reject ثابتوي چې غوښتنه سرور ته ورسېده او شریکه پېژنده سره سمه وه، او خلک همدا برخه پرېږدي۔ پرځای یې مهال پای د پېژندې، اورېدونکي یا وړاندې فلټر ته اشاره کوي، او تر هغه چې دا سم نشي، لاندې هره خبرتیا نه شي کتل کېدای۔
د ساعت حالت مهم دی ځکه چې د اړیکې کړکۍ موافقت ته اړتیا لري۔ څو دقیقې انحراف لرونکې دروازه بله پاکه ناسته نښلون ناممکن ښکاره کوي، او بیاکتونکي د کړکۍ پراخولو سره جبران کوي تر هغه چې نښلون توپیر کول بند کړي۔ مخکې له دې چې قاعده سمه کړئ، انحراف وګورئ۔
بیا یوه قاعده د بې زیانه ازموینې لاندې چلوئ: له ناڅاپي پتې ننوتل جوړ کړئ، تایید کړئ چې خبرتیا راپاڅي، تایید کړئ چې ځواب ویونکی کولی شي ناسته او د هغې سرچینې پېښې راوباسي، او تایید کړئ چې ټکټ د ناستې پېژندنه لېږدوي۔ هغه قاعده چې سره نښتی کیسه جوړوي بریالۍ کېږي۔ هغه قاعده چې د لاګ کرښو غونډۍ جوړوي لا هم ډشبورډ ده۔ پایله د قاعدې ترڅنګ ولیکئ تر څو راتلونکې بیاکتنه له شواهدو پیل شي نه له اټکل۔